Faille de sécurité dans mon site

Bonjour!
Mon site ne cesse de se faire pirater, il est très simple, il y a juste un petit code php et apparemment ça viendrait de celui-ci:

Code:

---

<?php include("$contenu"); ?>

---

Ce code est dans le tableau principal de ma page principale, et dans tous mes liens je met: mapageprincipale.php?contenu=lapagesuivante.htm
ca fait comme un systême de frames quoi.
Seulement c'est vrai que si on tape monsite.com/mapagepricipale.php?contenu=http://www.google.fr ça marche aussi, donc c'est une faille dont doit se servir le hacker ou le virus ou le je ne sais quoi!
Il faudrait rajouter un bout de code qui empêche qu'une page extérieure à mon site soit appelée...
je suppose qu'il doit être assez facile d'y rémédier... Quelqu'un peut il m'orienter?
Grand merci d'avance!
Pour ceux qui veulent constater les dégats: http://www.gitedoublel.com

Le piratage n'est plus visible, j'ai supprimé tous les fichiers qui avaient été ajoutés sur mon ftp. J'ai noté au passage q'un des fichiers s'appelait hirako.php apparemment c'est un manga, mais qqun connait peut-être, c'est pas un virus connu?

Pour savoir s'il est connu ou non, tu peux le chercher sur google.

ben j'ai essayé, on trouve plei de réponses avec ce manga, a propos de ce mot et de priratage, pas trop, ou alors c'est confus.
Si vous connaissez une fonction pour limiter un readfile($variable) au seul contenu du site internet dont la page fait partie...

Tu peux commencer par ici :
http://thierrylhomme.developpez.com/...ecure/#include

http://www.developpez.net/forums/d72...aille-include/

http://www.developpez.net/forums/d55...aille-include/

OK!
J'ai ajouté la fonction if file_exist et ça parait marcher, en tout cas on ne peut plus appeler google dans ma page.
J'espère que c'est bien de cette faille dont il se servait!
Merci beaucoup!

file_exists ne résoud pas ton probleme...
http://www.gitedoublel.com/testolive...nu=/etc/passwd

Il va falloir trouver plus astucieux comme résolution ^^

Code:

---

1 2 3 4 5 6 7 8 9 10

define('ROOT', dirname(__FILE__));   $contenu = realpath(ROOT.'/'.$contenu);   if( strpos(ROOT, $contenu) != -1 && file_exists($contenu) ) { include($contenu); } else { trigger_error('Fichier invalide', E_USER_ERROR); }

---

Un truc dans ce genre par exemple

Bonjour!
En effet, ça a recommencé!

Tout d'abord merci beaucoup
J'ai essayé de copier ton code tel quel (j'y comprend pas grand chose) et
il me trouve une erreur à la ligne:

Code:

---

$contenu = realpath(ROOT.'/'.$contenu);

---

erreur:

Citation:

---

"unexpected T-variable", un truc comme ça.
J'ai essayé en chageant quelques trucs, genre en rajoutant des guillemets autour de ROOT comme au dessus, mais ça change rien.

---

...

Par ailleurs, c'est hallucinant l'erreur que ça génère le lien que tu as créé!
C'est quoi les noms? C'est tous les sites hébergés sur le même serveur que moi chez ovh?

La solution la plus strict concernant l'include consiste à spécifier le fichier qu'on inclus a partir du paramètre.
ie : rubriqueB => rubrique_b.php

Désolé désolé désolé
Je comprend pas

je m'y connais pas assez

Et j'ai eu une (humble) idée
Si je met
include("http://www.gitedoublel.com/$contenu");
ça empêche pas qu'on exécute des fichiers hébergés ailleurs?
c'est correct comme code?

sinon je peux peut-être mettre autre chose qu'include, genre readfile(), ça changerait quelque chose?

L'idee de sabotage si tu preferes, c'est de passer par un systeme de code.

par example:

Code:

---

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20

$listeDesPages = array('1' => 'blabla.php', '2' => 'tutu.php');   if(array_key_exists($contenu,$listeDesPages) === true) { define('ROOT', dirname(__FILE__));   $fichierAinclure = realpath(ROOT.'/'.$listeDesPages[$contenu]);   if( strpos(ROOT, $fichierAinclure) != -1 && file_exists($fichierAinclure) ) { include($fichierAinclure); }else { trigger_error('Fichier invalide', E_USER_ERROR); }     }else{ trigger_error('Fichier invalide', E_USER_ERROR); }

---

mais apres tu peux passe a des choses plus "dynamique", d'ou l'exemple de sabotage d'avoir:

Code:

---

1 2 3 4 5 6 7 8 9 10 11

$contenu = "rubriqueB";   if(preg_match('/([a-z]+)([A-Z]{1}[a-z]*)/',$contenu,$elem) === 1) { $fichierAcharger = $elem[0].'_'.$elem[1].'.php'; }else{ $fichierAcharger = 'default.php'; }   ......

---

Les possibilites sont infinies a toi de voir ce qui te plais, tu peux aussi utiliser des hash, des algo de cryptage etc..
Comme ca tu es sur que monsite.com/mapagepricipale.php?contenu=1 retournera toujours la meme chose et tu es plutot protege contre les attaques de type XSS.

Ou sinon un truc moins souple mais apparemment suffisant pour toi

Code:

---

if ( preg_match('# http | / | \\\\#x', $contenu) ) exit("paramètre inconnu");

---

Citation:

---

Envoyé par s.n.a.f.u

Ou sinon un truc moins souple mais apparemment suffisant pour toi

Code:

---

if ( preg_match('# http | / | \\\\#x', $contenu) ) exit("paramètre inconnu");

---

---

J'ai mis cette solution, et ça parait fonctionner reste à voir si cela cesse (ça avait encore recommencé cette après midi).
J'en profite pour m'excuser, car je suis conscient qu'un forum de spécialiste n'est pas destiné à recevoir des questions de débutants qui cherchent à ce qu'on fasse le boulot à leur place.
Simplement nous sommes un gite qui organisons des séjours enfant cet été, et notre site renvoyait un jour sur deux, juste avant l'été, sur une page affichant "free porn movies!"
Vous imaginez la catastrophe pour nous, c'est pour ça que j'ai eu cette attitude, en d'autres circonstances, j'aurais essayé de me documenter un peu plus tout seul.
En tout cas merci à vous d'avoir pris le temps de m'aider!:ccool:
...Et j'espère que ça va enfin cesser!

Citation:

---

Envoyé par gitedoublel

J'en profite pour m'excuser, car je suis conscient qu'un forum de spécialiste n'est pas destiné à recevoir des questions de débutants qui cherchent à ce qu'on fasse le boulot à leur place.
Simplement nous sommes un gite qui organisons des séjours enfant cet été, et notre site renvoyait un jour sur deux, juste avant l'été, sur une page affichant "free porn movies!"
Vous imaginez la catastrophe pour nous, c'est pour ça que j'ai eu cette attitude, en d'autres circonstances, j'aurais essayé de me documenter un peu plus tout seul.
En tout cas merci à vous d'avoir pris le temps de m'aider!:ccool:
...Et j'espère que ça va enfin cesser!

---

Tu n'as pas du tout à t'excuser : si les débutants ne recevaient jamais d'aide, les spécialistes seraient rares...

Bonne continuation et à bientôt,

@gitedoublel : on a tous commence quelque part ;)

AAAAAAAAAAAAAAAAAAAAh!!!!!!!!!!
Je pète un plomb! Ca a recommencé!
mais comment font-ils?
Il y a une faille possible avec le code de snafu?

Ne serait-il pas mieux d'interdire tout bonnement l'accès à des fichiers distants ?

Code:

---

ini_set('allow_url_include', false); // à placer dans dans fichier de config

---

A moins que tu n'en ait besoin, je pense que c'est pour l'instant la meilleure solution en attendant que tu approfondisses tes connaissances en matière de sécurité.

rien ne dit que ce soit l'include qui est utilisé.

Exact, faudrait voir une page étant " piratée ".